Zakon o piškotkih v Sloveniji: kaj zahteva ZEKom-2

Kaj od tvojega spletnega mesta zahtevata 225. člen Zakona o elektronskih komunikacijah (ZEKom-2) in GDPR, za katere piškotke potrebuješ privolitev, kdo izvaja nadzor in na kaj je pozoren Informacijski pooblaščenec. Preprosto pojasnjeno.

Nazadnje preverjeno: 16 oktobra 2026

Na kratko

Za vse piškotke, ki niso nujni, potrebuješ predhodno privolitev. Po smernicah Informacijskega pooblaščenca to velja tudi za vse analitične piškotke.
Brez privolitve so dovoljeni le piškotki za prenos sporočila in nujni piškotki za storitev, ki jo je obiskovalec izrecno zahteval. O njih moraš obiskovalce vseeno obvestiti.
Pasica mora imeti gumb za zavrnitev, ki ni skrit in ni slabše viden od gumba za sprejem.
Nadzor izvaja Informacijski pooblaščenec. Po ZEKom-2 so globe za podjetja od 200 do 20.000 evrov, poleg tega se kaznuje še odgovorna oseba.

Kaj določa zakon o piškotkih?

Ko v Sloveniji govorimo o „zakonu o piškotkih“, mislimo na 225. člen Zakona o elektronskih komunikacijah (ZEKom-2). Ta člen je slovenska različica evropskega pravila iz člena 5(3) Direktive o zasebnosti in elektronskih komunikacijah. Določa, kdaj smeš na napravo obiskovalca kaj shraniti ali z nje kaj prebrati.

Osnovno pravilo je preprosto: shranjevanje podatkov ali dostop do podatkov na računalniku, telefonu ali drugi napravi obiskovalca je dovoljen samo s privolitvijo, ki jo obiskovalec da, potem ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave. Brez privolitve je dovoljeno le:

tehnično shranjevanje ali dostop izključno za prenos sporočila po elektronskem komunikacijskem omrežju in
shranjevanje ali dostop, ki je nujno potreben za storitev informacijske družbe, ki jo je obiskovalec izrecno zahteval, na primer za nakupovalno košarico ali prijavo.

Zakon ne govori le o piškotkih. Informacijski pooblaščenec poudarja, da pravilo velja za vsako tehnologijo, ki shranjuje ali bere podatke na napravi, na primer sledilne piksle, lokalno shrambo in prstni odtis brskalnika (fingerprinting). Prav tako ni pomembno, ali so podatki osebni: 225. člen varuje napravo in komunikacijo, ne le osebnih podatkov. Ko pa piškotki obdelujejo osebne podatke, kar sledilni piškotki skoraj vedno počnejo, za to obdelavo velja še GDPR z Zakonom o varstvu osebnih podatkov (ZVOP-2).

Zakon dopušča tudi privolitev prek nastavitev brskalnika, vendar le, če je to tehnično izvedljivo in učinkovito. Informacijski pooblaščenec piše, da mu ni znan noben brskalnik, ki bi to omogočal na veljaven način, saj bi moral brskalnik piškotke privzeto blokirati. V praksi zato potrebuješ pasico za piškotke.

Katere piškotke lahko uporabljaš brez privolitve?

Informacijski pooblaščenec obe izjemi razlaga ozko. Odločilno je, ali je piškotek nujen z vidika obiskovalca, ne z vidika lastnika spletnega mesta.

Vrsta piškotka	Privolitev potrebna?	Primeri po smernicah Informacijskega pooblaščenca
Nujni	Ne	Nakupovalna košarica, vnosi v spletne obrazce, prijavna seja, porazdelitev obremenitve med strežniki, zaščita pred zlorabo prijave
Funkcionalni, ki le izboljšajo uporabo	Da	Piškotek, ki si zapomni jezik, čeprav ga obiskovalec ni sam izbral
Analitični	Da, vedno	Google Analytics, pa tudi analitika z lastnimi piškotki
Oglaševalski in trženjski	Da	Meta Pixel, Google Ads, ponovno trženje, omejevanje števila prikazov oglasov
Vtičniki družbenih omrežij, ki sledijo	Da	Gumbi in vgrajene vsebine, ki obiskovalcu sledijo med spletnimi mesti

To je pomembna razlika od nekaterih drugih držav EU. Na Nizozemskem in v Franciji je merjenje obiskanosti pod strogimi pogoji lahko izvzeto iz privolitve, v Sloveniji pa ne: po smernicah Informacijskega pooblaščenca je za analitične piškotke potrebna privolitev, in sicer vnaprejšnja in aktivna. Če piškotek služi več namenom, od katerih je le eden nujen, prav tako potrebuješ privolitev.

Tudi za nujne piškotke velja, da morajo trajati le toliko, kot je potrebno. Po smernicah naj bodo večinoma sejni in naj se izbrišejo, ko obiskovalec zapre brskalnik; daljši rok moraš znati utemeljiti. Več o vrstah piškotkov v vodniku Kaj so piškotki?

Kakšna mora biti privolitev?

Pogoje za veljavno privolitev določa GDPR. Informacijski pooblaščenec našteva, da mora biti privolitev:

dokazljiva: znati moraš pokazati, da je obiskovalec privolil;
prostovoljna: obiskovalec mora imeti pravo izbiro. Uporabe spletnega mesta praviloma ne smeš pogojevati s privolitvijo; glej Zid piškotkov;
konkretna: obiskovalec mora imeti možnost, da privoli ločeno vsaj po namenih, na primer posebej za analitiko in posebej za oglaševanje;
informirana: pred privolitvijo ve, katere piškotke uporabljaš, zakaj in kdo je upravljavec;
nedvoumna: dana z jasnim dejanjem, na primer s klikom na „Strinjam se“. Molk, nadaljnje brskanje ali vnaprej obkljukana polja niso privolitev. Za vnaprej obkljukana polja je to leta 2019 potrdilo tudi Sodišče EU v zadevi Planet49.

Še nekaj pravil iz smernic:

Najprej privolitev, potem piškotki. Rešitev, pri kateri se piškotki namestijo takoj in jih obiskovalec lahko le naknadno zavrne (opt-out), ni dovoljena. Če obiskovalec ne izbere ničesar, smeš namestiti le nujne piškotke.
Ne v splošnih pogojih. Privolitev, skrita v pogojih uporabe spletnega mesta, je problematična; pogoje uporabe in politiko piškotkov zato loči.
Preklic mora biti enako preprost kot privolitev, na primer z vedno vidno ikono ali jasno povezavo. Po preklicu moraš nenujne piškotke izbrisati, če je to tehnično mogoče, ali obiskovalcu natančno pojasniti, kako jih izbriše sam.
Nova privolitev ob bistvenih spremembah, na primer ko uvedeš piškotke za vedenjsko oglaševanje, ki jih prej nisi uporabljal.
Ne sprašuj na vsaki podstrani znova. Če pasica ob vsakem kliku znova izskoči, je to po mnenju EOVP lahko zavajajoč vzorec.

O čem moraš obvestiti obiskovalce?

Preden obiskovalca prosiš za privolitev, mu moraš povedati vsaj, da uporabljaš piškotke, katere, s kakšnim namenom in kdo je upravljavec. Druge informacije, ki jih zahteva 13. člen GDPR (na primer rok hrambe, prejemniki, prenosi zunaj EU in pravice obiskovalca), lahko navedeš na podstrani, do katere vodi povezava iz pasice. Informacijski pooblaščenec šteje, da je obvestilo lahko dostopno, če obiskovalec do njega pride z enim klikom, povezava pa mora biti tudi na dnu vsake strani.

V obvestilu moraš po navedbah Informacijskega pooblaščenca našteti vsak posamezen piškotek, njegov namen in trajanje, tudi nujne piškotke, za katere privolitve ne potrebuješ. Informacije o nujnih piškotkih je smiselno prikazati ločeno od piškotkov, za katere prosiš za privolitev. Primer najdeš v naši predlogi politike piškotkov.

Kdo izvaja nadzor?

V Sloveniji je za piškotke pristojen en organ:

Informacijski pooblaščenec (IP) po petem odstavku 225. člena ZEKom-2 izvaja inšpekcijski nadzor nad pravili o piškotkih in o kršitvah odloča kot prekrškovni organ. Hkrati je nadzorni organ za GDPR.
Agencija za komunikacijska omrežja in storitve (AKOS) nadzira druge določbe poglavja ZEKom-2 o varstvu zasebnosti elektronskih komunikacij, pravil o piškotkih pa ne: 229. člen zakona jih izrecno prepušča Informacijskemu pooblaščencu.

ZEKom-2 v četrtem odstavku 225. člena določa še, da se za kršitev pravil o obveščanju in privolitvi, ki je hkrati kršitev predpisov o varstvu osebnih podatkov, uporabljajo določbe ZEKom-2. Kaj s tem pridobljenimi osebnimi podatki počneš naprej, pa ureja GDPR.

Na kaj je pozoren Informacijski pooblaščenec?

Informacijski pooblaščenec je decembra 2023 izdal prenovljene Smernice o uporabi piškotkov in podobnih sledilnih tehnologij. Pri nadzoru predvsem na sistemski ravni preverja, ali spletno mesto obiskovalce pravilno obvešča in ali za piškotke, ki to zahtevajo, pridobi privolitev. Če obvestilo ali mehanizem za privolitev ne deluje, je to kršitev ZEKom-2.

V smernicah povzema prakse, ki jih je delovna skupina EOVP za pasice za piškotke označila za neskladne:

pasica nima gumba za zavrnitev že na prvi ravni;
polja za privolitev so vnaprej obkljukana;
zavrnitev je le povezava v besedilu ali zunaj pasice, ki ni enako vidna kot gumb za sprejem;
gumb za zavrnitev ima tako slab kontrast, da ga je težko prebrati;
piškotki se nalagajo na podlagi „zakonitega interesa“ namesto privolitve;
piškotki so napačno razvrščeni med nujne;
ni ikone, gumba ali povezave za poznejši preklic privolitve.

Gumb za sprejem tudi ne sme biti drugače obarvan, večji ali lažje dosegljiv, tako da obiskovalca potisne v privolitev. Informacijski pooblaščenec opozarja še, da odgovornost vedno ostane pri lastniku spletnega mesta, tudi če uporablja pasico zunanjega ponudnika: preveriti moraš, da orodje privolitve res pridobiva skladno z GDPR. Orodja za pregled piškotkov ti pomagajo, presoje, ali je piškotek res nujen, pa ne nadomestijo.

Da nadzor ni le na papirju, kaže letno poročilo za leto 2025. Informacijski pooblaščenec opisuje inšpekcijski nadzor spletnega mesta trgovskega podjetja: obiskovalci sledenja niso mogli zavrniti takoj, ampak šele v drugem koraku nastavitev; nekateri analitični in oglaševalski piškotki tretjih oseb so ostali aktivni tudi po zavrnitvi ali preklicu; za veliko piškotkov ni bilo podatkov o namenu in roku hrambe. Podjetje je dobilo globo 2.500 evrov, njegova odgovorna oseba pa 500 evrov.

Kakšne so globe?

Po 14. točki prvega odstavka 301. člena ZEKom-2 je prekršek, če obdeluješ podatke z naprave obiskovalca brez njegove predhodne privolitve in brez predhodnega jasnega in izčrpnega obvestila. Globa za pravno osebo znaša od 200 do 1.000 evrov, za srednjo ali veliko družbo od 1.000 do 20.000 evrov. Kaznuje se tudi odgovorna oseba, z globo od 100 do 500 evrov. Če obdeluješ osebne podatke v nasprotju z GDPR, lahko Informacijski pooblaščenec izreče tudi globo po GDPR. Podrobnosti v vodniku Globe za piškotke.

Tako uskladiš spletno mesto

Ugotovi, katere piškotke tvoje spletno mesto namešča, tudi tiste iz vtičnikov, vgrajenih vsebin in oznak tretjih oseb.
Presodi, ali jih res potrebuješ. Informacijski pooblaščenec opaža, da veliko spletnih mest uporablja analitiko, katere podatkov nihče ne pogleda. Manj piškotkov pomeni manj tveganja.
Skrajšaj rok trajanja, kjer je mogoče, in preveri prednastavljene roke v orodjih tretjih oseb.
Razvrsti piškotke po namenu in izjeme uporabi ozko: nujni, analitični, oglaševalski.
Postavi pasico z gumboma „Sprejmi“ in „Zavrni“ (ali „Ne strinjam se“) na prvi ravni, enako vidnima, in z izbiro po namenih.
Blokiraj vse piškotke, za katere je potrebna privolitev, dokler obiskovalec ne privoli, in jih ne nalagaj po zavrnitvi.
Uporabljaš Google Ads ali Google Analytics? Izbiro posreduj z Google Consent Mode v2.
Objavi politiko piškotkov z vsemi piškotki, nameni in roki trajanja, povezano iz pasice in z dna vsake strani.
Omogoči preprost preklic in hrani dokaz o privolitvah.
Redno preverjaj. Skladnost po besedah Informacijskega pooblaščenca ni enkratna naloga.

Cookie Confirm ti pomaga pri večini teh korakov: skener tvoje spletno mesto preveri vsak mesec (in kadar koli želiš znova), pasica v tvoji celostni podobi ima sprejem in zavrnitev drug ob drugem, skripte ostanejo blokirane do privolitve, izbira se posreduje Google Consent Mode v2, politika piškotkov se ustvari iz pregleda in sproti posodablja, vsaka privolitev pa se hrani 12 mesecev. Presoja, ali je posamezen piškotek res nujen, pa po besedah Informacijskega pooblaščenca vedno ostane tvoja odgovornost. Za 7,95 € na spletno mesto na mesec, s 7-dnevnim brezplačnim preizkusom. Ne želiš nameščati sam? Brezplačna storitev namestitve tvoje spletno mesto uredi v 24 urah po tem, ko nam omogočiš dostop.

Viri

Pogosta vprašanja

Kateri zakon v Sloveniji ureja piškotke?

Zakon o elektronskih komunikacijah (ZEKom-2, Uradni list RS, št. 130/22), in sicer njegov 225. člen. Velja od novembra 2022, ko je nadomestil prejšnji zakon ZEKom-1. Pravila o privolitvi v piškotke v Sloveniji sicer veljajo že od 15. junija 2013. Ko piškotki obdelujejo osebne podatke, velja tudi GDPR. Evropska komisija je novembra 2025 predlagala spremembe pravil o piškotkih (digitalni omnibus), vendar predlog še ni sprejet, zato veljajo sedanja pravila.

Ali potrebujem pasico za piškotke?

Samo če uporabljaš piškotke ali podobne tehnologije, za katere je potrebna privolitev, na primer analitične ali oglaševalske piškotke, piksle ali vgrajene videoposnetke, ki sledijo obiskovalcem. Če uporabljaš le nujne piškotke, po smernicah Informacijskega pooblaščenca pasica ni potrebna. Na lahko dostopnem mestu pa moraš vseeno navesti, katere piškotke uporabljaš, zakaj in kako dolgo trajajo.

Ali lahko Google Analytics uporabljam brez privolitve?

Ne. Informacijski pooblaščenec v svojih smernicah piše, da analitični piškotki nikoli niso nujni, zato moraš zanje vedno pridobiti predhodno privolitev. To velja za Google Analytics in tudi za analitiko z lastnimi piškotki. Rešitev, pri kateri se analitika zažene takoj in jo obiskovalec lahko le naknadno izklopi, ni dovoljena.

Ali lahko obiskovalcem, ki zavrnejo piškotke, preprečim dostop?

Praviloma ne. Po smernicah Informacijskega pooblaščenca pogojevanje uporabe spletnega mesta s privolitvijo v piškotke (zid piškotkov) praviloma ni dovoljeno, presoja pa je odvisna od okoliščin primera. Več v vodniku o zidu piškotkov.

Ali slovenska pravila veljajo tudi za obiskovalce iz tujine?

Da. Informacijski pooblaščenec pojasnjuje, da slovenska zakonodaja velja za upravljavca, ki je ustanovljen v Sloveniji ali uporablja opremo v Sloveniji, ne glede na to, od kod prihajajo njegovi uporabniki. Pasice zato ne smeš skriti pred obiskovalci s tujim IP-naslovom.

Kako dolgo smem hraniti privolitev?

Zakon ne določa roka. Moraš pa znati dokazati, da je obiskovalec privolil. Informacijski pooblaščenec svetuje, naj si spletno mesto izbiro zapomni, da obiskovalca ne sprašuješ na vsaki podstrani znova. Cookie Confirm vsako privolitev hrani 12 mesecev in pregled lahko izvoziš, da ga pokažeš ob nadzoru.

Ta vodnik je splošna informacija, ne pravni nasvet. Redno ga preverjamo, a zakoni in smernice se spreminjajo. Nisi prepričan glede svojega primera? Vprašaj pravnika.

Beri naprej

Več vodnikov

Vsi vodniki →

Prvih 7 dni povsem brezplačno

Ustvari brezplačen račun in preveri, ali je Cookie Confirm prava izbira zate. V živo v 5 minutah.

Brez kreditne kartice
Nato 7,95 € na mesec
Namestitev plug & play

Začni brezplačni preizkus

4,9/5 5.000+ spletnih mest